Hallo Community Wie der Titel schon sagt, habe ich ein Problem mit der Namesauflösung von diversen domains (post.ch, postfinance.ch, broadcom.com und sicherlich noch andere) wenn DNSSEC im Unbound aktiviert ist. Und zwar passt in diesen Fällen die DNS Antwort nicht in ein UDP Paket und muss somit via TCP übermittelt werden. Es ist der DNSKEY einfach zu gross, welcher ja dann übermittelt werden sollte. Und da besteht das Problem. Es sollte ein DNS Fallback auf TCP gemacht werden, was aber die connect box blockiert. Evtl. kann das ja hier im Forum jemand nachstellen und bestätigen. Oder vielleicht gibt es ja eine Lösung. Ich kann auch tcpdumps, falls gewünscht, liefern. Vielen Dank schon mal.

Zur Info. Sunrise konnte das Problem nachstellen. Es scheint mit dem einem Feature namens "DNS Rebind Protection" zusammenhängen. Natürlich kann dieses nicht via UI deaktiviert werden. Das Problem sollte aber in einem zukünftigen Firmware update behoben werden.

@"customer0815"#p273213 Sunrise Surf & Protect hast du im MySunrise abgeschaltet?

Edited: Falls es das "**Sunrise Protect**" sein sollte. es ist nicht aktiv.

@"customer0815"#p273225 Sorry, ja das meinte ich. Hatte das Renaming vergessen :) Ein Fiber Abo habe ich leider nicht und kann es dadurch nicht testen. Deine Firewall lässt dies durch, falls du eine eigene hast? Das läuft ja möglicherweise ohne TCP Session von innen nach aussen, bin aber nicht sicher.

DNSSEC mit unbound läuft hier auf einigen Internetanschlüssen von UPC/Sunrise einwandfrei (Raspberry Pi 4 mit Ubuntu Server 20.04). Diese EuroDOCSIS-Kabelmodeme werden im Bridge-Modus betrieben. Der Bridge-Modus ist bekanntlich für Glasfaser-Internetanschlüsse von Sunrise **nicht** verfügbar. Ich empfehle die unter: https://community.sunrise.ch/d/36906-dns-probleme https://community.swisscom.ch/d/773537-erreichbarkeit-von-postfinancech veröffentlichte DNSSEC-Fehlersuche durchzugehen. Zu DNS-Allgemein siehe auch meine Hinweise unter: https://community.sunrise.ch/d/41982-quad9-tcp-ports-443-und-853-nicht-erreichbar/10 Es hat schon Helden und Heldinnen gegeben, welche vergessen haben, in den Firewalleinstellungen den ausgehenden DNS-Datenverkehr auf Serverport TCP 53 freizuschalten.

@"pato"#p273255 Nein, keine Firewall ausser diese Pseudo Ding auf der Connect Box, habe ich aber schon mal deaktiviert gehabt leider ohne Erfolg. Du kannst es so testen, und siehst ja was der unbound macht. Der DNSKEY passt nicht ins UDP Paket und somit sollte ein fallback auf TCP gemacht werden. `dig @194.41.216.137 +dnssec post.ch DNSKEY` `;; Truncated, retrying in TCP mode.` `;; communications error to 194.41.216.137#53: timed out` `;; communications error to 194.41.216.137#53: timed out` `;; communications error to 194.41.216.137#53: timed out` `; DiG 9.18.33-1~deb12u2-Debian @194.41.216.137 +dnssec post.ch DNSKEY` `; (1 server found)` `;; global options: +cmd` `;; no servers could be reached`

@"GrandDixence"#p273265 Bei mir sollte nix blockiert werden. Keine FW aufem Pihole. Das ganze debugging habe ich schon gmacht und es hat ja eingentlich nicht mal was mit Pihole oder unbound zutun. Es geht schlichtweg der TCP FALLBACK nicht. leider kann ich auf der Connectbox ja keinen Traffic mitschneiden. siehe antwort an @"pato"#12758 `dig @194.41.216.137 +dnssec post.ch DNSKEY` `;; Truncated, retrying in TCP mode.`

@"customer0815"#p273269 Mein DNS ist auch ein Pi-Hole, aber eben mit HFC Router im Bridge Modus und eigenem Router: dig @194.41.216.137 +dnssec post.ch DNSKEY ;; Truncated, retrying in TCP mode. ; DiG 9.18.28-1~deb12u2-Debian @194.41.216.137 +dnssec post.ch DNSKEY ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER

@"pato"#p273281 Also bei dir scheint der "DNS TCP fallback" zu funktionieren. Aber du bist auch nicht auf dieser Fiber Box. Eigentlich hat ja bei dem query `dig @194.41.216.137 +dnssec post.ch DNSKEY` unbound und Pihole gar nichts damit zu tun. Da wir direkt den Post DNS (194.41.216.137) fragen. Da die Antwort leider die 512bytes des UDP Pakets überschreitet sollte eben der TCP Fallback gemacht werden. Was aber auf dieser Box geblockt wird. Evtl. hätte ich den Titel auch anders wählen sollen. BTW. Ich habe auch schon beim support ein ticket erstellen lassen, welches zunächst zu swisscom ging😵. Und wurde dann auch geschlossen. Da das sicher kein Problem des Glas Anschlusses ist. Denke das von der Hotline eh nix mehr kommen wird. Wäre halt nice wen hier jemand mit so einer connect box das nachstellen kann. Ich behaupte das problem liegt an dieser bescheidenen Box. Und das sollte halt gefixt werden.

@"customer0815"#p273284 Was wohl zu müde, hast Recht bezüglich Pi-Hole wird gar nicht gefragt :D Stell sonst mal einen PCAP hier rein, bei welchem du den Capture Filter auf TCP und UDP 53 oder besser host 194.41.216.137 gesetzt hast und dann diesen Query wiederholst.

@"pato"#p273324 Habe ich gestern versucht da zwei PCAP's anzuhängen. wird leider geblockt. Habe sie da mal raufgeladen. hoffe das geht. https://limewire.com/d/6ace6a50-bf30-412b-9340-a29edb545b7f#xffdUyxNh6lEN5HnDnVNMwM9eWlbRXrOVwTv7fMnEug

DNS/DNSSEC Problem in Verbindung mit PiHole und Unbound als Rekursiv-resolver

oli-h

GrandDixence Sunrise hat vor einigen Tagen mein neues EuroDOCSIS-Kabelmodem (Connect Box 3 HFC) vom Router- in den Bridge-Modus umgeschaltet

Sunrise selbst stellt nicht vom Router- in den Bridge-Modus. Das musst Du schon selber machen im Config-Web-UI der ConnectBox.
Sunrise muss aber als Vorbereitung dieses “CG-NAT / DS-Lite” für jeweiligen Anschluss deaktivieren und dafür “un-NAT-ted IPv4” aktivieren. Umgangssprachlich hier im Forum “Bitte auf IPv4 umstellen”.

GrandDixence

oli-h
Ich weiss nicht was Sunrise in ihrem Netzwerk bastelt und will es auch nicht genau wissen. Fakt ist aber, dass mein EuroDOCSIS-Kabelmodem vom Tag x auf y alle Einstellungen inklusive Kabelmodem-Webinterface-Passwort verloren hat und in diesem Zusammenhang wurde von Bridge- auf Router-Modus umgestellt. Ich habe diese Umstellung nicht ausgelöst.

oli-h

Jetzt bin ich verwirrt. In ersten Post schreibst Du:

GrandDixence Sunrise hat vor einigen Tagen mein neues EuroDOCSIS-Kabelmodem (Connect Box 3 HFC) vom Router- in den Bridge-Modus umgeschaltet

Jetzt schreibst Du genau das Gegenteil:

GrandDixence und in diesem Zusammenhang wurde von Bridge- auf Router-Modus umgestellt

In welche Richtung hat denn nun diese unerwartete Umstellung stattgefunden?

Cruncher

GrandDixence

Witzig, das ist bei meinem HFC Modem im letzten Jahr auch 2mal passiert. Es war einfach plötzlich auf Werkseinstellungen zurückgesetzt. Seit März bin ich auf Fiber und nerve mich nur, weil ich Unbound nicht mehr nutzen kann wegen DNS Rebound Protection.

ich finde es eine absolute Frechheit, das wir das nicht ausschalten können. Aber noch fast schlimmer ist, dass es einfach mal eingeschaltet wurde. Bei meinen Eltern auch bei der HFC Box vor ein paar Monaten. Diese habe ich jetzt zu Wingo gezügelt. Ich selber werde nach der Mindestlaufzeit auch wechseln. Das geht für mich nicht. Auch wurde seit Monaten kein Update für die Box rausgehauen und gefixt wurde auch nichts. Hauptsache ich werde bei jedem Anruf 10x gefragt ob ich nicht bei ihnen ein Handy Abo abschliessen möchte und dann als dumm verkauft werde.

Daniele_Sunrise

GrandDixence Kann es sein, dass dein Modem von der UPC Technik auf die Sunrise Technik (Migration) geschaltet wurde und du darum den Routermodus hattest?

Liebe Grüsse
Daniele

GrandDixence

Ja, am 19.06.2025 erfolgte die Zwangsmigration von UPC zu Sunrise. Aber das Kabelmodem wurde direkt nach der Migration in den Bridge-Modus geschaltet.

dasilva-willy

customer0815 Warte immer noch. Gleiches Problem hier.

Meine Connect Box 3 info:

Konform zur Standardspezifikation: DOCSIS 3.1
Hardware Version: 1.2
Software Version: LG-RDK_8.10.26-2309.3
Kabel MAC Adresse: 64:7B:1E:5B:4D:79
Kabelmodem Seriennummer: YBxxxxxxxx16
Systemverfügbarkeit: 82day(s)2h:50m:46s
Netzwerkzugang: Erlaubt

Können Sie bitte etwas tun?

Danke und einen schönen Tag,
Willy

« Pagina precedente